CVE-2026-109143
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w calcom cal.com i cal.diy do wersji 6.2.0 dotyczy funkcji credentials.delete w pliku /api/trpc/credentials/delete. Manipulacja argumentem teamId powoduje nieprawidłowe zarządzanie uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może usunąć lub zmodyfikować poświadczenia innych użytkowników, co może prowadzić do przejęcia kont lub naruszenia bezpieczeństwa danych.
Rekomendacja
Zaktualizuj cal.com/cal.diy do wersji nowszej niż 6.2.0, jeśli dostępna jest poprawka. Ogranicz dostęp do API i monitoruj aktywność.
Inne podatności w cal.com
Zobacz wszystkie- CVE-2025-71389Krytyczne
Cal.com (calcom/cal.diy) przed wersją 5.9.9 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Aplikacja zawiera wersję Next.js, której obsługa żądań React Server Components (RSC) deserializuje dane kontrolowane przez atakującego. Zdalny atakujący może wysłać spreparowane żądanie RSC i spowodować wykonanie dowolnego kodu po stronie serwera bez uwierzytelnienia i interakcji użytkownika. Podatność pochodzi z CVE-2025-55182 w Next.js i została naprawiona w wersji 5.9.9 poprzez aktualizację zależności.
- CVE-2024-58354Krytyczne
Podatność w repozytorium cal.com (później cal.diy) w GitHub Actions. Workflow pr.yml używa wyzwalacza pull_request_target z domyślnymi uprawnieniami zapisu, co pozwala atakującemu na wykonanie dowolnych poleceń z tokenem GITHUB_TOKEN o uprawnieniach zapisu. Atakujący może wypchnąć commity, scalić lub zmutować pull requesty, dodać lub usunąć komentarze oraz usunąć lub wymusić push gałęzi.
- CVE-2024-58355Wysokie
Cal.com (calcom/cal.diy) do wersji 4.7.15 zawiera podatność stored cross-site scripting (XSS) w widoku pojedynczej rezerwacji (np. https://app.cal.com/booking/<id>). Etykiety pól booking-question są renderowane przez React's dangerouslySetInnerHTML bez sanityzacji lub ucieczki danych wejściowych, co pozwala atakującemu na wstrzyknięcie dowolnego HTML/JavaScript.
- CVE-2024-58353Wysokie
Podatność XSS w Cal.com (calcom/cal.diy) w wersjach do 4.7.15. Etykiety pól formularza rezerwacji są renderowane przez React z dangerouslySetInnerHTML bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie dowolnego HTML/JavaScript. Luka została naprawiona w wersji 4.7.16.
- CVE-2023-37919Średnie
Cal.com to oprogramowanie do planowania, które ma podatność pozwalającą na utrzymanie aktywnych sesji po włączeniu 2FA. Po aktywacji 2FA na koncie, które jest zalogowane na dwóch lub więcej urządzeniach, pozostałe urządzenia nie wymagają weryfikacji tożsamości właściciela konta.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in calcom cal.com and cal.diy up to 6.2.0. This vulnerability affects the function credentials.delete of the file /api/trpc/credentials/delete of the component Credentials Handler. This manipulation of the argument teamId causes improper privilege management. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS